CVE-2024-4787: Luka w Cost Calculator Builder PRO dla WordPress umożliwia wysyłanie dowolnych e-maili

Co wiadomo

Wtyczka Cost Calculator Builder PRO dla WordPress w wersjach do 3.1.75 włącznie posiada lukę pozwalającą na wysyłanie dowolnych wiadomości e-mail przez nieautoryzowanych atakujących. Problem wynika z niewystarczających ograniczeń dotyczących odbiorców i treści w funkcjach 'send_pdf' i 'send_pdf_front', dostępnych przez AJAX.

Wpływ biznesowy

Luka umożliwia atakującym wysyłanie e-maili z dowolną treścią do dowolnych odbiorców, co może prowadzić do nadużyć, takich jak phishing, spam czy reputacyjne szkody dla organizacji. Administratorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, gdyż może ona wpłynąć na bezpieczeństwo komunikacji i zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Cost Calculator Builder PRO i ich wdrożenie. W przypadku braku dostępnej poprawki należy ograniczyć ekspozycję funkcji AJAX odpowiedzialnych za wysyłkę e-maili, monitorować logi pod kątem nietypowej aktywności oraz priorytetyzować działania naprawcze w środowiskach WordPress wykorzystujących tę wtyczkę.

Źródła

• NVD
• Reference
• Reference